某個程序會自動擷取多個銀行來源的 API 憑證，並叫用連結到 CloudFormation 自訂資源的 Lambda 函數。開發人員希望以最少的營運負擔和最高的安全性來儲存這些 API 憑證。哪種方法最安全且所需的營運工作量最少？

正確答案是「從 Lambda (自訂資源) 呼叫 SSM PutParameter API，將憑證儲存為 SecureString 參數」。此方法利用 Lambda 函數的執行環境來安全地處理和儲存憑證。使用 Systems Manager Parameter Store 的 SecureString 類型可確保憑證在靜態和傳輸過程中都經過加密，提供高安全性。透過 Lambda 呼叫 PutParameter API，可以避免在 CloudFormation 範本中直接暴露敏感資料，降低操作負擔。 選項一不正確，因為 Secrets Manager 的 GenerateSecretString 功能主要用於自動生成隨機密碼，而非儲存外部來源的特定 API 憑證。選項三和四不正確，因為直接在 CloudFormation 範本中定義敏感憑證，即使使用 NoEcho，也可能在某些情況下暴露資訊，且不符合將外部憑證動態儲存的最佳實踐。